Single Reporting Platform

Single Reporting Platform (SRP), den fælles indberetningsplatform, er den webportal, hvorigennem producenter sender de indberetninger, som Cyber Resilience Act (CRA) kræver: aktivt udnyttede sårbarheder og alvorlige hændelser, der påvirker deres produkter. ENISA, Den Europæiske Unions Agentur for Cybersikkerhed, driver den i henhold til artikel 16 i forordning (EU) 2024/2847. Den blev lanceret den 11. september 2026, den dag CRA's indberetningsforpligtelser begyndte at gælde.

Hvad der indberettes, og hvornår

Producenter indberetter to slags hændelser: en aktivt udnyttet sårbarhed i et produkt med digitale elementer og en alvorlig hændelse, der påvirker sikkerheden i et sådant produkt. Begge begreber er defineret i forordningen. Hver går gennem tre trin:

Trin	Frist	Gælder for
Tidlig varsling	Inden for 24 timer efter at have fået kendskab	Begge
Indberetning	Inden for 72 timer efter at have fået kendskab	Begge
Endelig rapport	Inden for 14 dage efter at en rettelse eller afhjælpning er tilgængelig	Aktivt udnyttede sårbarheder
Endelig rapport	Inden for en måned efter indberetningen	Alvorlige hændelser

Fristerne er fastsat i artikel 14 i CRA, ikke af portalen, og ENISA's SRP-FAQ gentager dem. Forpligtelsen omfatter også produkter, der allerede er på markedet, ikke kun dem, der bringes i omsætning, efter at CRA gælder fuldt ud. Artikel 14 kræver også, at producenter informerer de berørte brugere, og det gør de selv: platformen når myndigheder, ikke kunder.

Hvem modtager en indberetning

En producent indsender hver indberetning én gang. Den går samtidig til det CSIRT, der er udpeget som koordinator i den medlemsstat, hvor producenten har sit hovedforretningssted, og til ENISA, undtagen under særligt ekstraordinære omstændigheder. Koordinatoren videresender den til CSIRT'erne i de andre medlemsstater, hvor produktet er tilgængeligt. ENISA oplister de udpegede koordinatorer på sin SRP-side.

Når en indberettet sårbarhed er rettet, kan ENISA i samråd med producenten offentliggøre den i den europæiske sårbarhedsdatabase (EUVD). Hvordan EUVD hænger sammen med CVE-id'er, forklares under CVE.

Hvordan adgangen fungerer

Producenter handler på platformen gennem Assigned Representatives (AR'er). Hver AR logger ind med en personlig EU Login-konto med multifaktorgodkendelse. En producent har én Primary AR, som kan invitere op til 20 Secondary AR'er, og de kan indsende og opdatere producentens indberetninger. En producent med flere koncernselskaber koordinerer internt, hvem der indberetter for hvilken enhed.

Hvad platformen ikke gør endnu

Pr. november 2026 ifølge SRP-FAQ'en:

• Ingen API. Den første version har ingen programmeringsgrænseflade, så indberetninger indtastes via webgrænsefladen. ENISA skriver, at en API kan overvejes i en senere fase, og at organisationer kan automatisere deres egne interne indberetningsforløb.
• Endnu ingen frivillig indberetning. Frivillige indberetninger efter artikel 15, for eksempel om en sårbarhed, der ikke udnyttes aktivt, er planlagt til en senere fase. I dag tager platformen kun imod de obligatoriske indberetninger.

ENISA kalder lanceringsversionen sin indledende driftskapacitet og planlægger at udvide den. Ifølge lanceringsmeddelelsen gælder indberetningsforpligtelserne for forvaltere af open source-software (open-source software stewards) fra den 11. december 2027.

Vær klar til at indberette

De 24 timer begynder, når du får kendskab til udnyttelsen, så det meste af arbejdet sker, før nogen logger ind:

• Registrér jeres Assigned Representatives, før I får brug for dem, med en stedfortræder i en anden tidszone.
• Aftal på forhånd, hvem der afgør, at en sårbarhed regnes for aktivt udnyttet, og hvor hurtigt.
• Før pr. version en fortegnelse over komponenterne i hvert produkt, så I kan navngive de berørte produkter og versioner inden for få timer. Se build-time SBOM'er og er vi ramt af en CVE?.
• Forbered meddelelsen til berørte brugere, da platformen ikke sender den.
• Gem den indsendte tekst og tidsstemplerne i jeres egne arkiver.

CRACI forbereder indholdet af CRA-indberetningerne (tidlig varsling, indberetning og endelig rapport); en person hos producenten indsender dem via Single Reporting Platform.

For forordningen som helhed, se hvad er CRA, CRA-guiden og ordlisteopslaget CRA. Hvordan et produktsikkerhedsteam håndterer det i hverdagen, står under PSIRT.